Отозвать approve TRON: чем опасен бесконечный allowance USDT TRC-20 и как его проверить

Коротко: отозвать approve TRON — значит обнулить разрешение, которое вы когда-то выдали смарт-контракту на списание ваших USDT TRC-20. Пока такое разрешение действует, контракт может забрать токены в пределах лимита в любой момент, без новой подписи с вашей стороны. Проверить выданные разрешения можно в разделе Token Approvals на Tronscan, а отозвать — там же или из кошелька: это отдельная транзакция, которая тратит энергию и bandwidth, как любой вызов контракта.

Что такое approve в TRC-20 и почему он опасен

Стандарт TRC-20 описывает две функции, которые работают в паре. approve(spender, amount) записывает в контракт токена, что адрес spender вправе списать с вашего адреса до amount токенов. transferFrom(from, to, amount) — это само списание: его вызывает уже не вы, а тот, кому вы выдали разрешение. Остаток лимита хранится в контракте токена и читается функцией allowance(owner, spender).

Механизм нужен для нормальной работы DeFi: чтобы обменник вроде SunSwap поменял ваши USDT на TRX, его контракт должен получить право забрать USDT с вашего адреса. Проблема в другом: разрешение не истекает само. Если вы выдали его год назад сервису, который потом взломали или который изначально был ловушкой, право на списание никуда не делось.

Бесконечный allowance: удобство, которое оборачивается риском

Многие приложения по умолчанию просят не точную сумму, а максимально возможное значение — в контракте это число 2^256−1, а кошелёк показывает его как «Unlimited» или как огромное число. Так пользователю не нужно подписывать approve перед каждой операцией. Обратная сторона: контракт получает право списать весь ваш баланс токена — и тот, что есть сейчас, и тот, что придёт позже.

Как мошенники получают approve на USDT TRC-20

Деньги при approve не двигаются, баланс в кошельке не меняется — поэтому подпись кажется безобидной. Вот типичные сценарии, в которых человек выдаёт разрешение, не понимая этого:

• «Проверка USDT на чистоту»: сайт просит подключить кошелёк и «подтвердить проверку», а на деле в окне подписи стоит approve на USDT в пользу чужого контракта.
• Фальшивый обменник или DEX-клон: интерфейс копирует известный сервис, но approve уходит на контракт злоумышленника.
• Аирдроп или «бонус»: в кошелёк приходят неизвестные токены со ссылкой на сайт, где их якобы можно «забрать» или обменять.
• «Поддержка» в Telegram просит «синхронизировать» или «разморозить» кошелёк через ссылку и подписать транзакцию.
• P2P-сделка, где покупатель настаивает на «верификации» вашего кошелька на своём сайте перед оплатой.

Общий признак: от вас требуют подписать транзакцию, хотя вы ничего не отправляете и ничего не покупаете. Ни одна честная проверка адреса не требует подписи — для анализа достаточно публичного адреса.

Как проверить approve на кошельке TRC20

• Откройте Tronscan и найдите раздел Token Approvals (проверка разрешений). Введите свой адрес или подключите кошелёк.
• Посмотрите список: для каждого токена указан контракт-получатель разрешения (spender) и сумма лимита.
• Отметьте разрешения на USDT и другие ценные токены, особенно с лимитом Unlimited.
• Сверьте адрес spender с сервисами, которыми вы реально пользуетесь. Незнакомый адрес, контракт без верифицированного кода или сайт, который вы не помните, — кандидаты на отзыв.
• Убедитесь, что смотрите настоящий контракт USDT в TRON: TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t. Разрешения на поддельные «USDT» сами по себе ничего не стоят, но говорят о том, что вы подключали кошелёк к сомнительным сайтам.

Если кошелёк уже использовался в DeFi, разрешений может оказаться больше, чем вы ожидали. Это не значит, что все они опасны: approve на крупный известный обменник — нормальная практика. Опасен лимит, выданный тому, кому вы не доверяете или кого не помните.

Как отозвать approve TRON: пошагово

• В разделе Token Approvals на Tronscan подключите кошелёк (TronLink или другой совместимый) к адресу, разрешения которого проверяли.
• Выберите нужное разрешение и нажмите Revoke. Кошелёк сформирует транзакцию approve с суммой 0 для этого spender.
• Проверьте окно подписи: вызывается контракт токена, функция approve, сумма — ноль. Подписывайте только это.
• Дождитесь подтверждения и обновите список: у отозванного разрешения лимит должен стать нулевым.

Отзыв — обычный вызов смарт-контракта. Он тратит энергию и bandwidth, а если своих ресурсов нет, сеть сожжёт за них TRX. Точный объём зависит от контракта и параметров сети, кошелёк показывает оценку перед подписью. Если нужно отозвать несколько разрешений подряд, имеет смысл заранее подготовить ресурсы на адресе.

Чего отзыв не сделает

• Не вернёт USDT, которые уже списали через transferFrom. Транзакции в TRON необратимы.
• Не защитит, если утекла сид-фраза или приватный ключ: с ключом злоумышленнику approve не нужен. В этом случае выход один — новый кошелёк и перевод остатков.
• Не отменит разрешение на другой токен: approve выдаётся по каждому токену отдельно, отзывать тоже нужно по каждому.

Как пользоваться DeFi и не раздавать бесконечные разрешения

• Если интерфейс позволяет, указывайте точную сумму approve под конкретную операцию вместо Unlimited.
• Для экспериментов с новыми сервисами держите отдельный кошелёк с небольшим балансом, а основной USDT — на адресе, который никуда не подключается.
• Раз в месяц открывайте Token Approvals и отзывайте разрешения сервисам, которыми больше не пользуетесь.
• Не подписывайте транзакции на сайтах, куда пришли по ссылке из личных сообщений, комментариев или из описания незнакомого токена.

Аренда энергии и approve: где граница

Честная аренда энергии не требует от вас ни approve, ни подключения кошелька к сайту поставщика. Энергия приходит делегированием: поставщик подписывает транзакцию со своего адреса, а вы указываете только адрес получателя. Если сервис «аренды энергии» просит подписать approve на ваши USDT — это не аренда, а попытка получить доступ к токенам.

Approve — это доверенность на ваши токены без срока действия. Выдавайте её точечно и забирайте, как только она больше не нужна.